В сряда NIST сподели актуална информация за напредъка си в изчистването на натрупаните CVE в Националната база данни за уязвимости (NVD) и обясни защо не е успял да спази наложения от самия него краен срок.

През февруари NIST разкри, че трябва да се очакват забавяния при анализа на CVE идентификаторите в NVD, тъй като работи по усъвършенстването на програмата.

През следващите няколко месеца имаше изоставане от над 18 000 уязвимости, но в края на май NIST обяви, че е възложил договор на Analygence за допълнителна поддръжка на обработката на NVD. Той също така заяви, че очаква да изчисти цялото изоставане до края на финансовата година (30 септември).

Въпреки това в края на септември фирмата за управление на уязвимости VulnCheck съобщи, че 72 % от над 18 000 CVE все още не са анализирани, докато на 19 май те бяха 93 %. Почти половината от известните експлоатирани уязвимости (KEV) също все още не са анализирани.

В актуализация, споделена в сряда, NIST заяви, че вече разполага с пълен екип от анализатори и те са в състояние да анализират всички CVEs, когато постъпят. Агенцията заяви, че целият обем на изоставането по отношение на KEV е преодолян.

Въпреки това NIST призна, че първоначалната прогноза за 30 септември за изчистване на цялото изоставане е била оптимистична.

„Това се дължи на факта, че данните за изостанали KEV, които получаваме от оторизираните доставчици на данни (ОДД), са във формат, който в момента не можем ефективно да импортираме и подобрим“, обясни агенцията. „За да се справим с този проблем, разработваме нови системи, които ще ни позволят да обработваме по-ефективно постъпващите данни от ADP.“

NIST не е споделила прогноза кога очаква да бъде изчистен целият обем на изоставането, но агенцията обеща да продължи да споделя актуална информация за напредъка си.